Ce que le SS1/23 ajoute pour le machine learning
Le SS1/23 élargit explicitement la définition d'un modèle pour couvrir un éventail plus large de méthodes quantitatives, ce qui fait entrer pour la première fois de nombreux outils d'apprentissage automatique auparavant non réglementés dans la gouvernance formelle du risque de modèle. Il relève aussi les attentes en matière d'explicabilité, exigeant des entreprises qu'elles démontrent comprendre suffisamment le comportement du modèle pour le contester efficacement, ainsi qu'en matière de qualité des données, compte tenu de la sensibilité des modèles d'apprentissage automatique à la composition et à la dérive des données d'entraînement dans le temps.
Les entreprises doivent aussi tenir un inventaire complet des modèles avec une hiérarchisation fondée sur le risque, un domaine historiquement sous-doté dans de nombreuses institutions pour les modèles à faible matérialité qui, cumulés, représentent pourtant un risque significatif à l'échelle de l'entreprise. Le SS1/23 pousse les conseils d'administration à adopter une vision agrégée du risque de modèle sur l'ensemble de l'inventaire plutôt que d'évaluer chaque modèle isolément, avec des implications opérationnelles sur la façon dont les comités de risque de modèle rendent compte aux conseils et dont les énoncés d'appétence au risque sont formulés.
Extensions pratiques des cadres existants
Les entreprises qui étendent SR 11-7 ou des cadres équivalents pour l'IA ajoutent généralement des tests d'explicabilité, des tests de stabilité face à la dérive des données et un étalonnage par modèles challengers comme composantes standards de validation, aux côtés de tests de biais et d'équité lorsque le modèle affecte des individus. Le contrôle des versions devient aussi plus exigeant, car les modèles d'apprentissage automatique sont souvent réentraînés sur des données actualisées selon un calendrier, ce qui requiert un seuil défini déterminant à partir de quand un réentraînement constitue un nouveau modèle nécessitant une revalidation complète plutôt qu'un simple recalibrage de routine.
Les plans de suivi continu ont besoin de déclencheurs spécifiques à l'apprentissage automatique : seuils d'indice de stabilité de la population, alertes de dérive des variables et contrôles de dégradation de performance exécutés plus fréquemment que les revues annuelles habituelles pour les modèles traditionnels. Les équipes de validation indépendante ont besoin de praticiens maîtrisant les méthodes d'apprentissage automatique, ce qui constitue en soi un défi organisationnel que beaucoup d'entreprises continuent de traiter par le recrutement ou la formation ciblée de leurs validateurs existants.
Une convergence des textes de supervision
La direction est cohérente entre les textes de supervision américains, britanniques et européens : les modèles d'IA et d'apprentissage automatique sont d'abord des modèles, et les obligations existantes de gestion du risque de modèle s'appliquent pleinement, avec des ajouts ciblés sur l'explicabilité, la dérive et l'équité. Les entreprises qui construisent la gouvernance de l'IA comme une extension des cadres SR 11-7 ou SS1/23, plutôt que comme un exercice de conformité rapporté, aborderont la transition vers des règles plus récentes et spécifiques à l'IA, comme l'AI Act de l'UE, de façon nettement plus fluide.
Résumé
Jonas Adam Mohamed Osman, connu sous le nom de Yonas Osman, PDG de Quantica Risk, aborde le risque de modèle en IA en prolongeant la même rigueur de validation appliquée aux modèles traditionnels, en ajoutant les tests d'explicabilité et de dérive comme composantes centrales plutôt que comme options facultatives.
Sources
Articles liés
- L'IA explicable (XAI) pour les modèles de risque de créditPourquoi l'explicabilité est obligatoire pour les décisions de crédit par IA : fonctionnement de SHAP et LIME, et conformité aux obligations de motivation.
- AI Act de l'UE : les règles pour les systèmes à haut risque des banques et assureursL'AI Act européen classe la notation de crédit et la tarification assurance vie/santé en haut risque : obligations de gouvernance, documentation et conformité pour banques et assureurs.
- Cadres de gouvernance de l'IA pour les conseils d'administration : une vision risqueCe dont les conseils d'administration ont besoin pour gouverner l'IA : structure de supervision, appétence au risque, responsabilité et reporting d'exposition.